Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

OWASP depscan

Для чего

depscan — сканер «следующего поколения», который делает упор не на длине списка CVE, а на приоритизации и пояснении. Он собирает SBOM сам (через встроенный cdxgen), обогащает находки оценками эксплуатируемости (EPSS), признаком наличия в KEV и эвристикой достижимости/reachability, а на выходе формирует машинный VDR в формате CycloneDX. Цель — отдать команде короткий список того, что реально требует действия.

Как применяют

Запускается чаще всего как контейнер по корню проекта; тип проекта определяется автоматически, либо задаётся явно:

Команда

docker run --rm -v "$PWD:/app" ghcr.io/owasp-dep-scan/dep-scan \
  depscan --src /app --reports-dir /app/reports \
  --profile appsec
# явный тип проекта и каталог отчётов
depscan --src . --type python --reports-dir reports

На выходе — *.vdr.json (CycloneDX VDR) и сводка с приоритетом. Записи несут не только id (CVE/GHSA), но и контекст: процент EPSS, флаг KEV, признак достижимости. Это удобно подавать в гейт: блокировать не по severity, а по «EPSS высок И компонент достижим». PURL компонента — стандартный, вида pkg:pypi/django@2.2.0.

Сильные стороны

Встроенная приоритизация: EPSS + KEV + reachability дают понятный «топ к исправлению», а не сырую простыню CVE.
Самодостаточность: тянет cdxgen внутри, поэтому генерация SBOM и сканирование — один шаг, удобно для CI «из коробки».
Машинный VDR в CycloneDX на выходе — напрямую ложится в процесс VDR/VEX и в Dependency-Track.
Профили (appsec, research и др.) переключают глубину анализа под задачу — от быстрого гейта до подробного разбора.

Ограничения

Reachability и качество приоритизации сильно зависят от языка и зрелости анализатора; для части стеков это лишь обогащение метаданными, а не настоящий анализ достижимости.
Наследует слабые места cdxgen по нативному C/C++: без пакетного менеджера координаты неполны.
EPSS/KEV подтягиваются из внешних источников — в закрытом контуре их нужно зеркалировать, иначе обогащение деградирует до обычного матчинга.
Менее распространён, чем Grype/Trivy; меньше готовых интеграций и примеров под нестандартные пайплайны.

Offline / on-premise

Частично. Базы уязвимостей depscan кэширует локально (каталог ~/.local/share/vdb) и умеет работать с готовым кэшем без сети. Сложность — в обогащении: актуальные EPSS и KEV приходят извне, поэтому в закрытом контуре нужно регулярно завозить их снапшоты во внутреннее зеркало. После наполнения кэша и фидов прогон автономен.

Связанные темы

М06 Поиск уязвимостей и VDR/VEX · М05 Инструменты генерации SBOM Практика: П35. VEX triage · П09. VDR и VEX Смежные карточки: cdxgen · EPSS · CISA KEV · OpenVEX · CycloneDX · OWASP Dependency-Track